审计与选择密码学依赖

您选择的密码学库是项目中影响最重大的安全决策之一。即使是出于善意的开发人员，如果使用质量不佳的库，也可能构建出不安全的系统。反之，设计良好的库会让灾难性错误难以发生。选择过程应当系统化，评估安全记录、API 设计、维护状态和用途适配性。

对于任何密码学库，首先要了解的问题之一是它最近一次接受独立审计的时间，以及该审计涵盖的范围。五年前针对 1.0 版本进行的审计，对于如今使用的 3.0 版本只能提供较少保障。请寻找由知名安全公司（NCC Group、Trail of Bits、Quarkslab、Cure53）进行的审计，并确认其涵盖您计划使用的具体功能。有些库会公开发布审计报告；完全没有审计是一个重要的风险因素。

请在 NVD（国家漏洞数据库）上查看该库的 CVE 历史。需要关注：存在多少个 CVE、它们的严重性评级、代表哪些漏洞类别（逻辑错误、内存破坏还是算法弱点），以及维护者发布补丁的速度。偶尔出现 CVE 且能及时修复的库，说明维护响应迅速。存在许多高严重性 CVE 或补丁发布缓慢的库，是明显的警示信号。

未维护的密码学库很危险。请检查最近一次提交日期、发布频率，以及安全公告是否得到处理。一个最近一次提交是在三年前的库，可能存在已知漏洞且永远不会获得修复。社区规模对于审查广度很重要：广泛使用的库会比小众项目受到安全研究人员更多审查。

更小、更有明确主张的 API 范围更有利于安全。公开许多算法选项和配置开关的库，会增加配置错误的机会。可以将 libsodium（每种使用场景提供一个函数，并固定算法）与 OpenSSL EVP（分别选择密码、模式、密钥大小、填充和初始化向量处理）进行比较。库越难被错误使用，就越适合重视安全的项目。

对于涉及机密数据的操作（密钥比较、解密、签名验证），实现必须使用恒定时间算法，不能根据机密值进行分支或内存访问。请确认库文档明确说明敏感操作具有恒定时间保证，或者确认源代码使用了经过认可的恒定时间比较函数。没有此保证的库容易受到计时侧信道攻击。

优秀的密码学库应支持现代算法，并计划弃用过时算法。它应提供 ChaCha20-Poly1305 或 AES-256-GCM 用于加密，Ed25519 或 ECDSA P-256 用于签名，X25519 用于密钥交换，以及 Argon2id 用于密码哈希。只提供传统算法（DES、RC4、MD5、SHA-1）的库不适合新的部署，无论其其他方面的质量如何。

请评估传递依赖：您的密码学库依赖哪些库，这些库的安全状况如何？没有外部依赖的库（例如 libsodium）具有最低的供应链风险。依赖十几个 npm 软件包、且每个软件包还有自身依赖的库，会因供应链而拥有很大的攻击面。请检查该库是否使用可复现构建，以便验证分发的二进制文件是否与源代码一致。

受监管行业（医疗保健、金融、政府）通常要求使用通过 FIPS 140-2 或 140-3 验证的密码模块。FIPS 验证成本高、耗时长，因此只有一部分库具备该认证。带有 FIPS 提供程序的 OpenSSL、BoringCrypto（用于 Go 的 crypto/tls）以及一些 HSM 库通过了 FIPS 验证。如果您的部署需要符合 FIPS，这项要求会显著缩小可选库的范围。

硬件安全模块（HSM）和云 KMS 服务通常为密钥操作提供专有 API。将应用程序紧密绑定到 AWS KMS 或某个特定的 HSM 供应商，会造成供应商锁定风险。请评估该库是否提供抽象层（例如 Tink 的 KMS 集成），以便切换提供商。此外还要考虑，如果 HSM 供应商停止支持或提高价格，迁移成本可能会非常高。

选择密码学依赖时最重要的原则是：使用实现成熟标准、广泛部署且广为人知的库，绝不要自行实现密码学原语。无论您多么了解理论，在生产代码中正确实现 AES、RSA、椭圆曲线操作或认证加密都极其困难；与使用经过验证的库相比，这样做几乎不值得承担风险。

为新项目评估密码学库时，哪个因素是 MOST 重要的？

库选型检查清单：检查近期独立审计的范围和报告，审查 CVE 历史记录和补丁响应时间，确认项目仍在积极维护且社区参与度良好，优先选择接口面较小且不易被误用的库，确认敏感操作具有常数时间保证，确保支持现代算法，评估供应链依赖；如受监管，检查 FIPS 验证，考虑 KMS 供应商锁定风险，并始终使用成熟的库，而不是自行实现密码学原语。